Çalışma mantığı
Sunucu doğrulama için bağlam oluşturur; nonce değerinin beklenen oturum ve işlemle ilişkisini kontrol eder. Kullanılmış değerlerin yeniden kabul edilmemesi uygulama protokolünün sorumluluğundadır.
Uygulamada nasıl değerlendirilir?
Aynı kanıt iki transfer talebine gönderildiğinde ikinci talep yeni bir yetki olarak kabul edilmemelidir. İşlem kaydıyla doğrulama kaydı birlikte tasarlanmalıdır.
Sınırlar ve yaygın hatalar
Sadece rastgele bir dizge eklemek, sunucu bunun kullanımını takip etmiyorsa tekrar saldırısını çözmez.
Kontrol listesi
- Nonce ömrünü tanımlayın
- Tek kullanımı uygulayın
- İşlem bağını kontrol edin
Karar verirken
Klasik ve standart akışların güvenlik sorumluluklarını birbirine karıştırmadan belgeleyin.
Nonce yönetimi bir sunucu işidir
Nonce üretimi ve kabul koşulu protokolün parçasıdır. Değerin ilgili oturuma veya işleme bağlı olması, ömrünün sınırlanması ve tekrar kabul davranışının belirlenmesi gerekir. Uygulamanın gönderdiği herhangi bir nonce değerini kabul etmek bağlama denetimini zayıflatır.
Doğrulama başarıyla tamamlandığında aynı iş isteğinin ağ nedeniyle tekrar gelebileceğini hesaba katın. Kanıt tekrarını engellemek ile işlemi güvenli biçimde yeniden sorgulamak ayrı ihtiyaçlardır. Kullanıcıya belirsiz hata yerine son işlem durumunu göstermek için sunucu kayıtları kullanılmalıdır.
İlgili rehberler: Mobil işlemlerde replay saldırısı, Mobil API istemcisinin taklit edilmesi.
Kaynaklar ve kapsam
Teknik özelliklerin başvuru noktaları aşağıdadır. Uygulama örneği ve kontrol listesi bu yayın için hazırlanmış değerlendirme önerileridir; bağımsız ürün testi sonucu değildir.